¿A quién afecta NIS2? Sectores y tamaños obligados
NIS2 afecta a las empresas que cumplen dos condiciones a la vez: operar en un sector de los anexos I o II y superar el umbral de mediana empresa (50 empleados o 10 M€). A eso se suman unos servicios que entran sin umbral y una tercera vía que pilla a muchas pymes españolas: ser proveedor de una entidad obligada.
Los sectores de los anexos I y II
- • Anexo I (alta criticidad): energía, transporte, banca, infraestructuras de mercados financieros, sanidad, agua potable y aguas residuales, infraestructura digital (cloud, datacenter, DNS, telecos), servicios TIC gestionados B2B, administración pública y espacio.
- • Anexo II (otros sectores críticos): servicios postales y de mensajería, gestión de residuos, sustancias químicas, alimentación, fabricación (productos sanitarios, electrónica, maquinaria, vehículos), proveedores digitales (marketplaces, buscadores, redes sociales) e investigación.
- • Lo que cuenta es la actividad real que prestas, no el epígrafe con el que estés dado de alta. En /sectores tienes cada sector desglosado con ejemplos de empresas típicas.
Los umbrales de tamaño
- • Gran empresa (250 o más empleados, o más de 50 M€ de facturación): entidad esencial si está en el Anexo I; importante si está en el Anexo II.
- • Mediana empresa (50–249 empleados, o entre 10 y 50 M€): entidad importante, esté en el anexo que esté.
- • Pequeña y microempresa (menos de 50 empleados y hasta 10 M€): fuera del ámbito directo, salvo las excepciones sin umbral.
Las excepciones que entran sin mirar el tamaño
Algunos servicios quedan dentro con independencia de su tamaño porque un fallo suyo arrastra a todo lo demás: proveedores de DNS, registros de nombres de dominio, prestadores de servicios de confianza (certificados, firma electrónica) y proveedores de redes y servicios de comunicaciones electrónicas. La administración pública también entra sin umbral general.
Si prestas alguno de esos servicios, da igual que seáis cinco personas: estás dentro.
La cadena de suministro: por donde entran las pymes
El artículo 21.2.d obliga a las entidades esenciales e importantes a gestionar la seguridad de su cadena de suministro. Traducido: tienen que evaluar a sus proveedores y trasladarles requisitos. Por eso una empresa de 20 personas que hace mantenimiento informático a un hospital acaba recibiendo cuestionarios y cláusulas aunque la ley no la señale directamente.
No es una obligación legal tuya, es una condición de contrato. El efecto práctico se parece bastante: quien no pueda demostrar unas medidas mínimas pierde el cliente.
Preguntas frecuentes
¿A quién afecta NIS2 en España?
A las empresas y organismos de los sectores de los anexos I y II que superan los umbrales de tamaño (50 empleados o 10 M€), a la administración pública y a algunos servicios digitales que entran sin umbral. Indirectamente, también a sus proveedores.
¿NIS2 afecta a las pymes?
A las medianas (50–249 empleados o 10–50 M€) de un sector cubierto sí, como entidades importantes. Las pequeñas y micro no están obligadas directamente salvo excepciones de sector, pero les llega por contrato si sirven a entidades obligadas.
¿Cómo sé si mi sector está en el anexo I o en el II?
El Anexo I recoge los sectores de alta criticidad (energía, transporte, banca, sanidad, agua, infraestructura digital, TIC gestionados, administración pública, espacio) y el Anexo II el resto (postales, residuos, químico, alimentación, fabricación, proveedores digitales e investigación). La diferencia solo cambia la categoría de las grandes empresas.
¿Te afecta NIS2? Sal de dudas en 3 minutos
10 preguntas, veredicto inmediato y, si quieres, informe de adecuación con plan de acción.
Hacer el test gratuito →Recurso gratuito
Checklist NIS2 en PDF, gratis
Las 10 medidas del artículo 21 convertidas en preguntas que puedes verificar tú mismo. Sin coste y sin tecnicismos.
Sigue leyendo:
Contenido orientativo basado en la directiva (UE) 2022/2555 y su transposición española. No constituye asesoramiento jurídico.